iOS设备禁止与电脑连接的配置方法以及注意事项

iOS设备有一个名为disable host pairing的选项可以禁止其和电脑通过USB连接交换数据,从而提高设备上数据的物理安全性。为了启用这个配置,首先你需要在macOS下安装Apple Configurator,其次你需要抹掉这台iOS设备上的所有数据,从头开始。

我是否需要MDM?

MDM是Apple提供的一种远程配置、管理移动设备的接口。如果你的设备注册到了MDM,那么管理员可以向这台设备强制应用配置和限制,安装和卸载应用,以及远程抹除设备上的数据。常见的MDM软件提供商有Cisco Meraki System ManagerMicrosoft Intune等。在Apple Configurator初始化iOS设备时,可以选择把这台设备注册到MDM,或者完全依赖于本机配置。

MDM往往需要你支付一些费用来管理设备,并且因为MDM需要申请APNS证书,你需要一个有效的Apple开发者账号。对于个人来说,配置一个MDM会带来比较大的开销。

如果你把设备注册到MDM并且没有在Apple Configurator准备阶段禁用host pairing,那么你以后将可以通过MDM的管理面板随时启用或禁用这一功能。反之,如果你选择完全依赖本机配置或者在Apple Configurator上禁用了host pairing,以后将不能再允许这台设备与其它电脑连接(说“其它”是因为它总能和配置它的那台电脑连接,文末会详细解释),除非重置该设备。

准备我的iOS设备

打开Apple Configurator(以Apple Configurator 2为例)。如果你准备使用MDM,那么请参考你使用的MDM服务的文档来配置DEP。如果你不准备使用MDM,那么在Apple Configurator 2菜单->Preferences->Organizations里新建一个组织,登录Apple ID时选择跳过,组织信息随意填写,保存即可。

建立Blueprint(配置模板)

选择Files菜单->New Blueprint。如果已经有创建好的blueprint,那么在工具栏上选择Blueprints->Edit Blueprints。双击刚刚新建的blueprint,在编辑界面点击工具栏的Prepare按钮,选择Manual Configuration。

这里的第四项“Allow devices to pair with other computers”就是我们需要的选项了。如果你选择本机配置,那么直接取消勾选该项即可;如果你使用MDM并且希望能通过MDM控制面板来远程修改该配置,这里需要把它勾选上。(无论如何,第三项“Supervise devices”必须勾选。)

一路下一步,等对话框结束后点击右下角的Done按钮结束编辑blueprint。

应用Blueprint到设备

插入iOS设备,Apple Configurator应该会自动检测到并在首页显示。

右键点击设备图标,选择Apply->刚刚创建的blueprint。Apple Configurator会提示需要重置设备来完成设置,点击确认。稍等一会,你的iOS设备上的数据会被清除,然后重新激活。(由于此时需要Apple Configurator代替iPhone完成激活,如果你使用国行或者有运营商锁的iPhone,这一步必须插入适配的SIM卡,否则无法完成激活,也就无法应用supervise设置。)

等对话框消失,回到设备上完成初始化向导即可。如果你配置了MDM,向导中途会提示是否接受远程管理(如下图),请确认。

全部完成后,在系统设置的顶端会提示该设备已被supervise。

这样,所有设置就完成啦。

什么可以连接,什么不可以连接

在禁止iOS设备连接到其它电脑后,使用USB连接上其它电脑,iOS端除了进入充电模式以外无任何反应,电脑端则弹出无法连接的错误对话框。

这一限制的原理很简单:在Apple Configurator创建organization时,会创建一对证书和私钥,存放在该macOS的login keychain中。iOS会在USB握手时通过XPC服务请求supervisor organization的签名(这一验证必须通过Apple Configurator完成),通过以后其它程序(iTunes等)也就可以连接上该设备(本次开机有效)。所以将该iOS设备连接到iTunes的流程是,打开Apple Configurator,插入iOS设备,输入系统登录密码以解锁login keychain,完成验证后关掉Apple Configurator,打开iTunes,再重新插拔iOS设备,等待iTunes识别即可。

证书和私钥可以使用Keychain Access导出,或者使用Meraki提供的一键导出工具。如果不知道具体是哪个,Apple Configuration的Preferences->Organizations里面有一个Show Supervision Identity的选项可以查看证书的名字。在别的系统导入时,可能会遇到一些奇怪的报错,不过没有关系,只要Keychain Access里面能看到Certificate和Private Key,就可以正常使用。

如果你使用MDM并且有DEP权限,那么可以通过MDM来分发EMM证书,安装有该EMM证书私钥的设备同样也可以和相应iOS设备配对。同样你也可以设置该设备不允许连接到任何电脑。(DEP配置模式下不需要Apple Configurator来完成初始设置。)

对于非macOS设备,目前我没有找到导入证书让iTunes识别到的方法。


参考资料

发表评论

This site uses Akismet to reduce spam. Learn how your comment data is processed.